Задача

Выполнение требований федерального законодательства в сфере информационной безопасности, а также организация системы управления организационно-техническими мероприятиями по защите информации.

Решение

В целях построения единой информационной системы управления организационно-техническими мероприятиями по защите информации и соблюдения федерального законодательства в сфере защиты персональных данных (ФЗ 152) и объектов КИИ (ФЗ187) была поставлена лицензия онлайн-системы «АльфаДок» и проведен экспертный аудит для полноценного запуска ПК «АльфаДок».

Выполненные работы

Этап 1. Определение области аудита.
Этап 2. Назначение ответственных лиц по вопросам организации и безопасности обработки ПДн.
Этап 3. Определение особенностей обработки ПДн.
Этап 4. Сбор свидетельств аудита по организационной части в отношении ПДн:

• Определение целей, оснований обработки ПДн.
• Определение категорий субъектов ПДн и условий обработки.
• Характеристики ПК.
• Перечень ПДн, содержащихся в ПК.
• Перечень ПДн, обрабатываемых на бумажных носителях.
• Доступ сотрудников к ПДн.
• Места хранения материальных носителей.
• Сведения о передаче ПДн третьим лицам.
• Подпись интервьюируемого лица.

Этап 5. Сбор свидетельств аудита по организационной части в отношении защищаемой информации:

• Определение целей, оснований обработки защищаемой информации.
• Характеристики ПК.
• Перечень защищаемой информации, содержащейся в ПК.
• Доступ сотрудников к защищаемой информации, содержащейся в ГИС.
• Сведения о передаче защищаемой информации третьим лицам.

Этап 6. Сбор свидетельств аудита по технической части:

• Выявление перечня помещений с автоматизированной обработкой ПДн.
• Определение пользователей СКЗИ и места расположения СКЗИ.
• Описание информационных потоков.
• Описание характеристик информационной инфраструктуры.
• Описание используемых технологий.
• Описание принятых организационно-технических мер.
• Определение перечня сертифицированных средств защиты информации.

Этап 7. Определение состава комиссии по категорированию объектов КИИ:

• Определение используемого в деятельности учреждения программного обеспечения и оборудования.
• Определение степени влияния нарушения функционирования программного обеспечения на деятельность организации.
• Предварительное формирование списка объектов КИИ. 
• Согласование и утверждение перечня объектов КИИ.
• Сбор информации по объектам КИИ.

Этап 8. Сбор сведений для заполнения анкет:

• Сведения по используемому в деятельности организации программному обеспечению и оборудованию.
• Сведения по корпоративной сети передачи данных.
• Изучается перечень официально утвержденных в рамках организации информационных систем и автоматизированных систем;

Этап 9. Анализ результата сбора сведений по используемому ПО и оборудованию, и подготовка предварительного списка объектов КИИ. Предварительный список согласуется с комиссией по категорированию. 
Этап 10. Сбор информации по объектам КИИ, согласованных на предыдущем шаге:

• Состав технических средств.
• Состав используемых средств защиты информации.
• Состав реализованных мер защиты информации.

Этап 11. Согласование результатов категорирования и определение ответственных лиц.

Результат

• Собрана полная информация по составу инфраструктуры Заказчика;
• Активирован модуль «КИИ» онлайн-системы «АльфаДок».
• Обработанная и структурированная информация загружена в личный кабинет Заказчика в программном комплексе «АльфаДок».
• Сформирован полный комплект документов по защите персональных данных;
• Сформирован комплект документов по защите объектов КИИ.
• Личный кабинет в программном комплексе «АльфаДок» запущен в полном объеме и передан для дальнейшей работы Заказчику.
• Зафиксированы рекомендации по защите информации в информационных системах Заказчика.

Онлайн-сервис «АльфаДок» - функциональный и удобный инструмент для разработки и поддержки в актуальном состоянии документации по защите информации. Использование этого сервиса позволяет экономить колоссальное количество времени и усилий. Кроме того, готовый портфель документов позволяет избежать ошибок при формировании документации и легко обновлять ее в случае штатных или законодательных изменений.